Protection des données : avertissement public pour traitements excessifs et illicites

La Commission sanctionne des commentaires subjectifs, insultants ou excessifs au regard de l’article 6, 3° de cette loi, ainsi que la collecte, au stade du recrutement, de coordonnées bancaires, d’informations familiales et du NIR, dépourvues de lien direct et nécessaire avec l’emploi au sens de l’article L. 1221-6 du Code du travail. Le NIR ne pouvait pas davantage être réutilisé pour interroger une liste d’exclusion, cette finalité étant incompatible avec sa collecte initiale, au sens de l’article 6, 2°.

L’enregistrement détaillé de données de santé sans consentement exprès méconnaît l’article 8. La conservation de signalements relatifs à des infractions ou condamnations par une société privée est également interdite par l’article 9 : la prévention des risques ne permet pas de constituer un fichier privé d’infractions, même si un signalement aux autorités demeure possible.

L’absence de durée de conservation et de purge viole l’article 6, 5°. L’absence de formalités préalables, notamment pour le NIR et la liste d’exclusion, caractérise un manquement au chapitre IV de la loi et à l’article 11 du décret du 20 octobre 2005. La CNIL prononce un avertissement rendu public sur le fondement des articles 45, I, et 46.

⬇️Télécharger la décision version officielle

Lors d’un contrôle, la CNIL a relevé des commentaires insultants, subjectifs ou portant sur l’apparence, la santé, la vie privée et l’entourage familial. La société conservait aussi, sans durée définie, des données relatives à des infractions, condamnations ou mesures de sûreté, ainsi que le NIR de candidats avant leur recrutement. Elle utilisait ce numéro pour interroger une liste d’enseignants interdits.

Les traitements concernés n’avaient pas fait l’objet des formalités préalables requises. Après le contrôle, la société a supprimé certains commentaires, modifié ses formulaires, instauré un filtrage et sensibilisé ses salariés. La CNIL a néanmoins retenu plusieurs manquements et prononcé un avertissement rendu public.

• Contrôle autonome, même partiel, des finalités et moyens des traitements
• Données adéquates, pertinentes et non excessives au regard des finalités
• Lien direct et nécessaire entre les informations demandées et l’emploi
• Utilisation du NIR compatible avec sa finalité initiale
• Consentement exprès pour traiter des données de santé
• Qualité légalement habilitée pour traiter les données d’infractions
• Durée de conservation définie et politique de purge effective

• Procès-verbaux des contrôles réalisés dans les locaux de la société
• Contenu des bases A et B et commentaires enregistrés
• Formulaires de candidature comportant NIR et données non pertinentes
• Courriers adressés aux familles et fiches renseignées par les enseignants
• Mesures correctrices annoncées par courrier et lors de l’audience

• Suppression des commentaires insultants ou subjectifs
• Interdiction de collecter prématurément le NIR et les données familiales
• Abandon de l’usage du NIR pour la liste d’exclusion
• Suppression des données de santé et d’infractions non nécessaires
• Définition des durées de conservation et organisation des purges
• Accomplissement des formalités préalables auprès de la CNIL

À faire

• Cartographier chaque traitement et sa finalité précise
• Limiter les formulaires aux données directement nécessaires
• Définir une durée de conservation par catégorie
• Mettre en place des purges documentées et régulières
• Effectuer les formalités CNIL requises avant traitement

À éviter

• Enregistrer des commentaires insultants ou subjectifs
• Collecter le NIR avant le recrutement définitif
• Utiliser le NIR pour une liste d’exclusion
• Conserver des données médicales détaillées sans consentement exprès
• Constituer un fichier privé d’infractions ou condamnations

La qualité de responsable de traitement

La société est responsable dès lors qu’elle exerce un contrôle, même partiel, sur les bases et leur contenu et détermine de manière autonome les finalités ou moyens des traitements. Les contrôles dans ses locaux, ses formulaires, ses courriers et les mesures correctrices établissent cette capacité, conformément à l’article 3 de la loi du 6 janvier 1978.

Les limites des données collectées et utilisées

L’article 6, 3° de la loi du 6 janvier 1978 interdit les données inadéquates, non pertinentes ou excessives. L’article L. 1221-6 du Code du travail exige un lien direct et nécessaire avec l’emploi. Le NIR ne peut servir à interroger une liste d’exclusion lorsque cette utilisation est incompatible avec sa finalité initiale, au sens de l’article 6, 2°.

Les données sensibles et la durée de conservation

Les données de santé détaillées, sans consentement exprès, méconnaissent l’article 8. L’article 9 interdit à une société privée de conserver des données d’infractions ou condamnations. L’absence de durée et de purge viole l’article 6, 5°, même si un signalement aux autorités reste possible.